Dados sensíveis são somente aqueles armazenados em meios digitais, de modo que manter arquivos físicos com informações pessoais não é considerado tratamento de dados pela referida lei. 

Tratamento de dados é qualquer informação que identifique ou que permita identificar uma pessoa, como por exemplo: nome, CPF, e-mail, idade, foto ou profissão, bem como fragmentos de informação que, juntos, permitam identificar uma pessoa física.

Por ser a parte mais interessada no tratamento dos dados, é o consumidor que responde por qualquer tipo de dano, violação ou desacordo à legislação. Assim, ele pode sofrer sanções administrativas ou mesmo ações judiciais e danos de ordem reputacional. 

Em alguns contextos, como estudos demográficos, politicas públicas para grupos minoritários, ou em programas de inclusão social, informações sobre a origem racial ou étnica podem ser solicitadas, mas isso deve ser feito com o consentimento explicito do individuo e seguindo critérios legais específicos.